iptables

iptables概述

框架

  tables > chains > rules（target）

说明

  整体上可认为iptables就是由许多chain组成的，要不然其老版本怎么叫做ipchains呢。但是划分层次为：

  一个table可由多个chain组成，一个chain可由多个rules组成（一个rule对应一个target）。

  target概念的好处是：系统预置了一些target，如ACCEPT,DROP,REJECT,LOG等，意思是如果这个包匹配这条rule，其处理办法就是target。这里引入target的好处在于，允许用户自定义一条chain，然后用chain名做为新的target，这样，就可以聚合一些rule！形成了层次性的rule，就是说如果满足这条rule，那么再看其target里面的rule。

详解

1. iptables由四张table组成，每张table由默认的chain组成：

(1)filter： 默认有三个chain——INPUT,OUTPUT和FORWARD

(2)nat： 做NAT工作，默认三个chain——OUTPUT,PREROUTING,POSTROUTING

(3)mangle： 对包的一些参数进行修改，默认有五个chain——INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING

(4)raw：作用未明，默认有两个chain——OUTPUT,PREROUTING

不同的table分管不同的方面。iptables的默认命令是对filter生效。可以用-t nat指定对nat生效。

2.  所谓的配置防火墙就是：

向chain添加rule：

每个chain都是由一系列rule组成的，比如你要更改INPUT这个chain来允许用户访问你机器上的某个端口。

比如这个INPUT有两个rule，一个用于允许用户访问你的5901端口，一个用于允许用户访问你的5902端口

图解

iptables

原文：http://chboy.blog.51cto.com/9959876/1720494